Let's Encrypt 将在 3 月 5 日 11:00 前撤销部分证书

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 2440 days ago, the information mentioned may be changed or developed.

https://community.letsencrypt.org/t/revoking-certain-certificates-on-march-4/114864

三百万受2020.02.29 CAA Rechecking Bug影响的证书将被撤销。

Bug 原因：当一个证书有 n 个域名需要检查 caa 记录时，LE 会选择其中一个域名重复检查 n 次。此 bug 导致颁发证书时可能会无视域名的 caa 记录。

Supplement 1 · Mar 4, 2020

2020.02.29 CAA Rechecking Bug

Let's Encrypt在验证域名控制权的同时也会检查对应的caa记录。域名控制权在被Let's Encrypt验证后的30天内有效。根据Baseline Requirements，域名的caa记录需要在颁发证书前8小时内检查。也就是说部分控制权有效的域名在颁发证书前需要再次检查caa记录。

而再次检查caa记录的代码存在bug，对于n个需要再次检查caa记录的域名，Let's Encrypt仅对其中的一个检查了n次。

如果用户通过了域名控制权和caa记录检查，给一个域名申请了Let's Encrypt证书，那么用户在之后的30天内申请包含这个域名的多域名证书时，其中一些域名的caa记录可能不会生效。

确认bug的时间是2020-02-29 03:08 UTC。03:10 UTC证书颁发暂停。05:22 UTC bug被修复。

初步认为bug引入日期为2019-07-25。

根据Baseline Requirements，Let's Encrypt需要在5天内吊销有问题的证书。截止时间为2020-03-05 03:00 UTC，也就是北京时间3月5号11:00。

caa

域名

bug

证书

25 replies • 2020-03-05 15:25:59 +08:00

janxin

Mar 4, 2020

赶紧更新一下证书保平安

mostkia

Mar 4, 2020

反正也就 3 个月，不过对于那些机器自动部署的证书，未到期就撤销，机器能识别到并且立即自动补上吗？不行的话估计一些站点得无法访问一段时间了。

kaixuan1901

Mar 4, 2020

谢谢提醒。补上检查地址： https://checkhost.unboundtest.com/

jokechat

Mar 4, 2020

https://checkhost.unboundtest.com/
检查地址

GDC

Mar 4, 2020 via iPhone

@mostkia 不会自动识别，基本都是定时任务跑的

iloveucyy19

Mar 4, 2020

已检查，无问题，谢谢

yushuda

Mar 4, 2020

受影响...换成阿里云免费证书了

qingmumu

Mar 4, 2020

感谢提醒，检查需要更换，已重新签了

vlitter

Mar 4, 2020 via Android

@jokechat 谢谢

kasusa

Mar 4, 2020

不知道你在说什么。。。但是 stocking 好评赞

skymei

Mar 4, 2020

谢谢提醒...,我的要换了

momocraft

Mar 4, 2020

看 bug 描述是不是只影響 CAA record 籤發出的多域名證書？

scys

Mar 4, 2020

被命中，重新申请

Xusually

Mar 4, 2020

检查受影响，已经--force 重签并更新
谢谢提醒

timwei

Mar 4, 2020

```
serial 03c231ad3f9d99a5086bbfd3027912dbc141 50381456 74db2b554c54e5774ce576ad3fa1489a70a81683f9b87a1f8b03fc566d9fb40a names: [*.dev.v2ex.co *.v2ex.co *.v2ex.com v2ex.co v2ex.com] missing CAA checking results for *.v2ex.com at 2020-02-09 19:57:32.092245047 +0000 UTC
```